Методы защиты от угрозы раскрытия параметров информационной системы, в принципе, не отличаются от рассмотренных выше методов защиты конфиденциальности информации. Цель данного раздела - дать представление о тех параметрах АС, раскрытие которых позволит злоумышленнику в дальнейшем реализовать основные виды угроз: нарушения конфиденциальности информации, нарушения целостности информации и блокирования доступа к информации.
Для того чтобы понять особенности реализации системы защиты АС от угрозы раскрытия параметров системы, рассмотрим пример, когда злоумышленник пытается реализовать угрозу нарушения конфиденциальности информации. Пусть злоумышленник получил доступ к МНИ с конфиденциальной информацией. Для того чтобы получить доступ к содержанию информации, в общем случае он должен обеспечить:
Меры защиты, направленные на противодействие злоумышленнику, будем рассматривать последовательно, в соответствии с подходом, предложенным в "Структура теории компьютерной безопасности".
При проведении злоумышленником мероприятий, направленных на получение информации с МНИ ( как правило, это гибкий или жесткий магнитный диск ), у него возникает необходимость решения следующих задач.
Как уже было отмечено, необходимым условием для считывания информации с МНИ является наличие аппаратной, программной и организационной составляющих физического доступа:
Чтобы осуществить подбор привода, настройку программного обеспечения и обращение к содержимому МНИ, необходимо провести идентификацию его типа. Для этого используются первичные признаки носителя:
Исходя из описанных возможных действий злоумышленника, необходимо создавать соответствующие защитные меры от разведки параметров системы, а именно не допускать при эксплуатации АС получения потенциальным противником указанных выше сведений.
Если имевшийся в наличии машинный носитель был правильно идентифицирован злоумышленником, для
него подобран привод, то с большой вероятностью ему будет известен формат оригинального носителя,
или же этот формат будет автоматически идентифицирован операционной системой, допускающей работу
с приводом для данного носителя. Например, обычные
Однако возможно введение произвольных нестандартных способов разметки носителя, которые могут применяться не только для удобства их эксплуатации, но и с целью защиты хранящейся информации. Тогда потенциальный злоумышленник будет иметь дело с последовательностью из нулей и единиц. В этом случае потребуется классификация служебной, содержательной, остаточной и скрытой информации. По своему смыслу эта работа близка к довольно глубокому криптоанализу. Нельзя также исключать и применение более изощренных криптографических алгоритмов при зашифровании всего содержимого носителя, включая служебные области.
Необходимыми аппаратной, программной и организационной составляющими для доступа к логическим единицам записей на носителях ( файлах ) являются соответственно:
Процедура определения формата носителя на логическом уровне предполагает:
Основным критерием того, осуществлен или нет логический доступ, служит способность злоумышленника выделить каждый файл на доступном ему машинном носителе. В настоящее время, из - за использования ограниченного числа типов операционных систем и еще меньшего числа способов размещения файлов на носителях, данная задача для злоумышленника может считаться решенной. В то же время для отдельных особо критичных АС ( прй наличии достаточного количества средств ) можно рассмотреть вопрос о разработке уникальной подсистемы взаимодействия с носителем.
Если злоумышленник имеет файл, то ему известно его название с расширением, дата создания, объем, статус ( только для чтения ). С учетом того, что существуют различные виды информации ( текст, графическое изображение, звуковой и видеосигнал, программные модули ), а также различные способы ее представления, разработаны и активно используются стандарты оформления ( форматы ) файлов. Перечень таких форматов очень широк. Их многообразие объясняется в первую очередь большим количеством соответствующих программных продуктов, функционирующих на различных аппаратных и программных платформах CBT.
Заранее знать, в каком формате подготовлен файл, не всегда возможно. Однако для каждого вида информации, представленной в файле, и для каждого формата существуют характерные признаки. Таким образом, задача выявления смысла содержимого файла предполагает определение программного средства, с помощью которого этот файл был подготовлен, включая использованные для зашифрования средства криптографической защиты информации.
В случае применения криптографических средств защиты злоумышленник может применять криптографический анализ.
Отдельным направлением защиты АС является сокрытие логики ее работы и ее защитных функций, реализованных программно или программно-аппаратно. Это связано с тем, что большинство атак злоумышленников на системы защиты и защищаемую ими информацию включают в себя как обязательный этап изучение логики защитных и функциональных механизмов. В свою очередь, изучение логики программ АС разбивается на три стадии:
Выделение чистого кода программ может потребоваться злоумышленнику по следующим причинам:
Дизассемблированием называется процесс перевода программы из исполняемых или объектных кодов на язык ассемблера. Задача дизассемблирования практически решена. В настоящее время практически для всех операционных систем существует много хороших дизассемблеров, почти стопроцентно справляющихся со стандартным кодом. ( Дизассемблированный текст может считаться полностью правильным, если при повторном ассемблировании получается исходный код. Аналогично, код считается не содержащим специальных приемов защиты от исследования, если дизассемблер получает полностью правильный текст ) С помощью этапа дизассемблирования можно проверить качество выполнения этапа получения чистого кода: если дизассемблер не генерирует полностью правильный код, то тот этап не был закончен.
Семантический анализ программы - исследование программы изучением смысла составляющих ее функций ( процедур ) в аспекте операционной среды компьютера. Этот этап является заключительным и позволяет восстановить логику работы программы без исходных текстов. При этом используется вся полученная на предыдущих этапах информация, которая, как уже отмечалось, может считаться правильно только с некоторой вероятностью, причем не исключены вообще ложные факты или умозаключения.
Семантический анализ применяется к полученным ассемблерным текстам программы и состоит в нахождении и выделении управляющих конструкций, таких как циклы, подпрограммы и т.п., и основных структур данных. При этом определяются входные и выходные данные, а также реконструируется логика проводимых с ними преобразований.
Семантический анализ программы удобнее всего вести на языке высокого уровня. Однако на сегодняшний день задача о переводе из машинных кодов на язык высокого уровня ( дискомпиляции ) в общем случае не имеет приемлемого решения. Более проработаны вопросы дискомпиляции для языков интерпретирующего типа, таких как Clarion, менее - для языков трансляционного типа, например C.
Как правило анализ кода ведется на уровне команд процессора с использованием таких инструментальных средств, как трассировщики и отладчики. В целом задача семантического исследования исполняемого кода программ является достаточно трудоемкой и поэтому применима лишь к неболышм участкам кода.
В соответствии с данными подходами к изучению логики работы программ выработаны методы противодействия.
Простейшим методом защиты исполняемого кода программы является его модификация. Самым примитивным способом модификации кода ( по сложности реализации и надёжности ) является его упаковка при помощи одной из стандартных программ-упаковщиков: PkLite, Diet и т.д. Подобная защита ненадёжна, но тем не менее позволяет скрыть истинный исполняемый код, содержащиеся в нём текстовые строки и другую информацию, особенно если после перекодировки предприняты дополнительные меры защиты, такие как затирание идентификатора упаковщика и прочей информации, характеризующей метод упаковки.
Более надёжным методом является использование нестандартных упаковщиков. Если в предыдущем случае при удачном определении метода упаковки исполняемый код можно "развернуть", используя готовое средство, то при неизвестном упаковщике эта операция потребует предварительного анализа исполняемого кода подпрограммы, осуществляющей распаковку программы при её запуске.
Значительно более эффективным методом является шифрование тела программы и данных. Поскольку целью данного механизма защиты является обеспечение работы программы в нормальном режиме и предотвращение доступа к истинному исполняемому коду во всех остальных случаях, в качестве ключа к шифру целесообразно выбирать параметры системы и временные характеристики её работы, соответствующие именно этому режиму ( картину расположения в памяти, значения системных переменных, режим работы видеоадаптера, взаимодействие с таймером ).
Кроме того, модификация может не затрагивать всего кода, а касаться лишь отдельных команд ( наиболее предпочтительны команды передачи управления, вызовы прерываний или их параметры ), а также небольших фрагментов кода, играющих ключевую роль.
Другим методом защиты исполняемого кода программы является нерегламентированная передача управления: подмена адреса возврата из подпрограммы, вход и/или выход из подпрограммы посредством команды JMP или её производных, переход по абсолютному адресу, использование нестандартных точек и способов входа в обработчики прерываний.
Более специализированными являются методы противодействия отладчикам. Это могут быть различные способы модификации кода при работе программы ( совмещение сегмента стека с сегментом кода, шифрование кода ), активное противодействие путём периодической проверки и изменения векторов прерываний, в том числе и некорректными способами, блокировка клавиатуры и вывода на экран, контроль времени выполнения отдельных блоков программы, использование специфических особенностей микропроцессоров и т.п.